SlowMist identifiziert Sicherheitslücke, die private Schlüssel offenlegen könnte
- Das Sicherheitsunternehmen SlowMist hat eine Schwachstelle in der JavaScript-Bibliothek für elliptische Kurven identifiziert.
- Der Fehler ermöglicht es Angreifern, private Schlüssel mit nur einer einzigen Signaturoperation zu extrahieren.
- Die betroffene Bibliothek wird häufig in Kryptowährungs-Wallets und Web3-Anwendungen verwendet.
Die Blockchain-Sicherheitsfirma SlowMist hat eine Verwundbarkeit in einer weit verbreiteten JavaScript-Kryptolibrarie identifiziert, die die privaten Schlüssel der Nutzer Angreifern aussetzen könnte.
Die Sicherheitslücke betrifft die beliebte Bibliothek „elliptic“, die elliptische Kurvenkryptographie-Funktionen für mehrere Kryptowährungs-Wallets, Identitätssysteme und Web3-Anwendungen bereitstellt.
Laut der Analyse von SlowMist stammt die Verwundbarkeit aus der fehlerhaften Handhabung nicht standardisierter Eingaben während der Signaturvorgänge. Dieser Ablauf kann zur Wiederholung zufälliger Zahlen in ECDSA-Signaturen führen. Da die Sicherheit dieser Signaturen vollständig von der Einzigartigkeit dieser Zufallswerte abhängt, ermöglicht jede Wiederholung Angreifern, den privaten Schlüssel mathematisch abzuleiten.
Verwundbarkeit ermöglicht die Extraktion privater Schlüssel mit minimaler Interaktion
Der Grund für die Schwachstelle liegt darin, wie die elliptic-Bibliothek den sogenannten „k-Wert“ generiert. Dies ist eine Zufallszahl, die niemals über verschiedene Signaturen hinweg wiederverwendet werden sollte. SlowMists Analyse zeigt, dass Angreifer spezifische Eingaben erstellen können, um die Bibliothek dazu zu bringen, diesen Wert wiederzuverwenden. „Bei der Generierung von k werden der private Schlüssel und die Nachricht als Seeds verwendet, um die Einzigartigkeit unter verschiedenen Eingaben sicherzustellen“, erklärt der Bericht von SlowMist.
Diese Schwachstelle schafft einen gefährlichen Angriffsvektor, da sie nur minimale Interaktion mit den Opfern erfordert. Ein Angreifer muss nur eine legitime Signatur beobachten und dann das Ziel dazu bringen, eine speziell angefertigte Nachricht zu signieren. Durch den Vergleich dieser beiden Signaturen kann der Angreifer den privaten Schlüssel des Opfers mit einer relativ einfachen Formel mathematisch ableiten.
Breite Adoption setzt zahlreiche Web3-Anwendungen in Gefahr
Die Nutzung der elliptic-Bibliothek durch die JavaScript-Community macht das potenzielle Ausmaß der Verwundbarkeit noch größer. SlowMist weist darauf hin, dass die Verwundbarkeit in allen Versionen bis 6.6.0 vorhanden ist und Anwendungen betrifft, die verschiedene elliptische Kurven verwenden.
Jede Anwendung, die ECDSA-Signaturen auf extern bereitgestellten Eingaben durchführt, ist gefährdet. Dazu könnten Kryptowährungs-Wallets, DeFi-Apps, NFT-Plattformen und Web3-basierte Identitätsauthentifizierungs-Apps gehören.
Die Nutzung der Bibliothek im Bereich der digitalen Währungen bringt eine Angriffsfläche mit sich. Wenn der private Schlüssel kompromittiert wird, haben die Angreifer die volle Kontrolle über die entsprechenden Vermögenswerte. Die Hacker können unbefugte Überweisungen durchführen, Eigentumsaufzeichnungen ändern oder sich in dezentralen Apps als Nutzer ausgeben.
SlowMist hat auch einige dringende Empfehlungen für Nutzer und Entwickler veröffentlicht, um die Sicherheitsbedrohung zu mindern. Entwickler sollten zunächst die elliptic-Bibliothek auf Version 6.6.1 oder höher aktualisieren, da die Verwundbarkeit in der neuesten Version offiziell behoben wurde.
Neben dem Aktualisieren der Bibliothek empfiehlt SlowMist Entwicklern, weitere Sicherheitsvorkehrungen in ihre Apps zu integrieren. Für die Nutzer der betroffenen App ist die größte Sorge, ob ihre privaten Schlüssel möglicherweise bereits gefährdet sind. SlowMist empfiehlt Nutzern, die möglicherweise bösartige oder unbekannte Nachrichten signiert haben, präventiv ihre privaten Schlüssel zu ersetzen.
Phishing-Angriffe lassen nach, während technische Schwachstellen im Mittelpunkt stehen
Obwohl SlowMists Fund auf Bedrohungen durch technische Schwachstellen hinweist, zeigen Zahlen von Scam Sniffer, dass konventionelle Phishing-Angriffe drei Monate lang rückläufig waren. Im Februar 2025 verloren 7.442 Opfer 5,32 Millionen US-Dollar. Dies entspricht einem Rückgang von 48 % gegenüber den 10,25 Millionen US-Dollar im Januar und einem Rückgang von 77 % gegenüber den 23,58 Millionen US-Dollar im Dezember.
🧵 [1/4] 🚨 ScamSniffer Februar 2025 Phishing-Bericht
Verluste im Februar: $5.32M | 7,442 Opfer
Verluste im Januar: $10.25M | 9,220 Opfer
(-48% MoM) pic.twitter.com/HsZZSlYKJC— Scam Sniffer | Web3 Anti-Scam (@realScamSniffer) 5. März 2025
Während dieser abwärtsgerichtete Trend offensichtlich ist, sind einige Angriffsvektoren immer noch extrem wirksam. Permit-Allowance-Angriffe, bei denen Hacker Wallet-Adressen erstellen, die von legitimen optisch nicht zu unterscheiden sind, führten zum höchsten Einzelverlust in Höhe von 771.000 US-Dollar in ETH.
Permit-basierte Angriffe lagen mit Verlusten in Höhe von 611.000 US-Dollar dicht dahinter, gefolgt von nicht widerrufenen Phishing-Zustimmungen auf BSC in Höhe von 610.000 US-Dollar an veruntreuten Mitteln. IncreaseApproval-Exploits vervollständigten die Top-Angriffsvektoren mit Verlusten in Höhe von 326.000 US-Dollar in ETH.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Vignesh Karunanidhi
Vignesh ist ein Krypto-Inhaltsautor, Krypto-Journalist, Content-Editor und Social-Media-Manager. Er arbeitet seit über 6 Jahren mit Watcher.guru, BeInCrypto, CoinGape, Milkroad und Airdrops zusammen. Seine Fähigkeiten im Bereich Tech-, Robotik-, Business- und KI-Nachrichten wurden durch einen Master of Commerce vertieft.
